Java代码审计：SQL注入中的Update、In注入（若依CMS|Mybatis|Spring|新手向）

Mybatis框架SQL注入的查找方式

UPDATE注入

IF注入

SpringBoot架构查找参数输入点

DAO层用来存放mapper接口，mapper作用为访问数据库，向数据库发送sql语句，完成数据的增删改查功能，通常将其实现为接口，内部声明的方法将会于mapper层中的对应数据库函数关联 。简而言之就是就是执行SQL语句相关的。

比如下列文件就是DAO层文件：

控制请求和响应，负责前后端交互。controller层主要调用Service层里面的接口控制具体的业务流程，不会在其中编写大量逻辑代码，同时也会接受并处理一些HTTP参数，例如session。控制层一大特征就是前面会加@controller。控制层我们可以看到接收了什么参数，什么参数是可控的。

业务逻辑层，完成功能的设计。和DAO层一样都是先设计接口，再创建要实现的类，然后在配置文件中进行配置其实现的关联。service的impl是把mapper和service进行整合的文件 封装Service层的业务逻辑有利于业务逻辑的独立性和重复利用性。在service的实现类上要加注解@Service，否则会出现无法扫描识别 。

跟进SERVICE的方法便能够到达SERVICE层，比如下面这个方法：

具体实现业务在接口下：

这个就是具体实现业务

在这个类的最上面写着@Service，说明这个就是SERVICE层。

所以我们可以看见，若依采用的是第2种方式调用SQL语句的，即controller调用Service层间接调用DAO层。

通过上诉搜索.java结尾的文件直接到达DAO层了。

点击“1 usage”跟进第二个调用这个SQL的语句：

这个时候我们已经来到了Service层，可以看见输入的参数是dept，那么dept是什么，它可控吗？继续向上跟进。

这个时候来到了controller层：

回归最开始的SQL语句

update sys_dept update_time = sysdate() where dept_id in (${ancestors})

这里涉及到两个知识点：

1.SQL动词注入：SQL语句为UPDATE、INSERT、DELETE等动词的时候，一般使用报错注入。

2.IN注入：可控参数在in后面可以使用括号进行闭合，而不是单引号。

结合上面两点思路，我们可以构造payload如下：

update sys_dept update_time = sysdate() where dept_id in (0)or(extractvalue(1,concat((select+user()))))

即

ancestors=0)or(extractvalue(1,concat((select+user())))

那么接下来就验证这个payload的。我们一般我直接去漏洞的url，而是去对应的功能点。从上面函数可以看出这个功能点是修改部门的，因此我们定位到如下功能点：

使用Burp Suite抓取报文：

没有ancestors这个参数，我们手动输入。

发现利用失败，最后排查发现是Content-Length的原因，这个字段得和上传参数一样。

直接使用python：

运行后依旧不行。

结合其它博主的payload，我发现parentId不能使用系统已经有的，而要使用没有的。

从比较抽象的层面来看，该SQL语句的目的是为了更新父部门的状态。而parentId说明现在更新的部门的父部门id，ancestors这个参数有祖先的意思。因此两个参数可能会互相影响。说明这两个参数是否冲突调试起来比较麻烦，就不做进一步调试了。

但是我们可以得到一点经验：降低输入参数的关联性，避免冲突。

最后将parentId改为不存在的1

Content-Length改为 261，然后发送报文：

成功！